Fidye yazılımı saldırısı, kurumun verilerinin şifrelenerek erişilemez hâle getirilmesi ve çözüm anahtarı karşılığında ödeme talep edilmesidir. Günümüzde bu saldırılar tek bir zararlı yazılımın çalıştırılmasından ibaret değildir. Saldırganlar önce ortama sızar, günlerce keşif yapar, yetki toplar ve yedekleri devre dışı bırakır. Şifreleme, operasyonun son adımıdır. Bu nedenle savunma, şifrelemeden çok önceki aşamalara odaklanmalıdır.

Saldırıların ekonomik bir sektöre dönüşmesi, ölçeklerini de büyütmüştür. Erişim satan aktörler, fidye yazılımı geliştiren gruplar ve operasyonu yürüten ortaklar iş bölümü yapmaktadır. Bu yapı, saldırıların hem sayısını hem profesyonelliğini artırmıştır. Her ölçekten kurum hedef olabilmektedir. Bu nedenle hazırlık, büyüklükten bağımsız bir gerekliliktir.

Fidye Yazılımı Saldırısı Nedir?

Fidye yazılımı saldırısı, kurumun verilerinin ve sistemlerinin şifrelenerek kullanılamaz hâle getirilmesi ve erişimin geri verilmesi karşılığında ödeme talep edilmesidir.

Saldırının hedefi yalnızca veri değil, iş sürekliliğidir. Üretim hatları, hasta kayıtları ve lojistik sistemleri durduğunda ortaya çıkan kayıp, verinin kendisinden çok daha büyük olabilir. Bu nedenle etki değerlendirmesi iş süreçleri üzerinden yapılmalıdır. Fidye yazılımı kavramının teknik boyutu bu resmin yalnızca bir parçasıdır. Asıl mesele operasyonel dayanıklılıktır.

Saldırı Nasıl İlerler?

Tipik bir operasyon, ele geçirilmiş kimlik bilgileri ya da yamalanmamış bir dış hizmet üzerinden başlar. İlk erişim sağlandıktan sonra saldırgan keşif yapar ve ortamın yapısını öğrenir. Ardından yetki yükseltir ve ağda yanal olarak ilerler. Bu aşamalar günler hatta haftalar sürebilir. Savunmanın en değerli tespit penceresi budur.

İkinci aşamada yedekleme altyapısı hedef alınır. Yedeklerin silinmesi ya da şifrelenmesi, kurtarma seçeneğini ortadan kaldırır ve ödeme baskısını artırır. Bu nedenle yedeklerin ayrı kimlikle korunması kritik önemdedir. Üretim kimliğiyle erişilebilen yedekler, saldırıya birlikte kurban gider. Ayrışma sağlanmadan diğer önlemler eksik kalır.

Son aşamada şifreleme başlatılır. Genellikle mesai dışı saatler ve tatil günleri tercih edilir; böylece fark edilme ve müdahale süresi uzar. Şifreleme öncesinde veri sızdırılması da yaygın hâle gelmiştir. Çifte şantaj yaklaşımı bu nedenle ortaya çıkmıştır. İki baskı aracı birlikte kullanılır.

• Ele geçirilmiş kimlik ya da yamalanmamış dış hizmet üzerinden ilk erişim
• Keşif, yetki yükseltme ve yanal hareket
• Yedekleme altyapısının devre dışı bırakılması
• Verinin sızdırılması
• Şifrelemenin mesai dışı saatlerde başlatılması
• Fidye notu ve pazarlık süreci

Nasıl Önlenir?

Önlemenin ilk maddesi kimlik güvenliğidir. Dışa açık tüm erişim noktalarında kimlik avına dayanıklı çok faktörlü doğrulama uygulanması, en yaygın giriş yolunu kapatır. Bu tek kontrol, birçok olayı baştan engeller. Uygulama kapsamı eksiksiz olmalıdır. Tek bir açık nokta yeterlidir.

İkinci madde yama yönetimidir. İnternete açık hizmetlerdeki bilinen zafiyetler, ikinci en yaygın giriş yoludur. Bu sistemlerde yama süresi saatlerle planlanmalıdır. N-day saldırıları bu pencereyi hedefler. Envanter, hızlı müdahalenin ön koşuludur.

Üçüncü madde yedekleme mimarisidir. Yedeklerin üretim kimliğinden bağımsız korunması, değiştirilemez biçimde saklanması ve geri yükleme tatbikatının düzenli yapılması gerekir. Alınmış ama geri yüklenmemiş yedek, çalıştığı varsayılan yedektir. Tatbikat, sürenin de ölçülmesini sağlar. Süre, iş sürekliliği planına girdi olur.

Müdahale Hazırlığı

Olay yaşandığında hızlı ve doğru karar verilebilmesi için hazırlık gerekir. Kimin karar vereceği, hangi sistemlerin öncelikli kurtarılacağı ve iletişimin nasıl yürütüleceği önceden yazılmalıdır. Kriz anında bu soruların yanıtlanması zaman kaybettirir. Müdahale oyun kitabı bu hazırlığı içerir. Belge, tatbikatla sınanmalıdır.

İletişim planı da kritik önemdedir. Çalışanlar, müşteriler, iş ortakları ve gerekiyorsa düzenleyici kurumlar bilgilendirilmelidir. Bildirim yükümlülüklerinin süresi mevzuata göre değişir. Veri ihlali bildirimi gereklilikleri önceden bilinmelidir. Hazırlıksız iletişim, teknik sorunu hukuki soruna dönüştürür.

Ödeme kararı ise ayrı ve zor bir konudur. Ödeme, verilerin geri geleceğini garanti etmez ve suç ekonomisini besler. Ayrıca bazı yargı bölgelerinde hukuki sonuçları vardır. Karar, teknik ekibin değil üst yönetimin ve hukuk biriminin ortak kararıdır. Değerlendirme kriterleri önceden tanımlanmalıdır.

Tespit İçin En Değerli Sinyaller

Şifreleme başlamadan önceki aşamalarda çok sayıda tespit fırsatı bulunur. Olağandışı hesap davranışı, yanal hareket örüntüleri, yedekleme sistemine yapılan erişimler ve büyük hacimli veri transferleri bu sinyalleri oluşturur. Bu sinyallerin izlenmesi, saldırıyı şifreleme öncesinde durdurma imkânı verir. Şifreleme başladıktan sonra müdahale seçenekleri çok daralır. Bu nedenle erken aşama tespiti önceliklidir.

Gölge kopyaların silinmesi ve yedekleme görevlerinin devre dışı bırakılması güçlü işaretlerdir. Bu işlemler meşru yönetim faaliyetlerinde nadiren yapılır. Yüksek öncelikli uyarı olarak tanımlanmalıdır. Yanlış pozitif oranı düşüktür. Kural, hemen hemen her ortamda uygulanabilir.

Güvenlik ürünlerinin durdurulma girişimi de aynı kategoridedir. Kurcalama koruması etkinse bu girişim engellenir ve uyarı üretilir. Uyarının gerçek zamanlı değerlendirilmesi gerekir. Gece ve hafta sonu kapsamı bu nedenle önemlidir. Saldırılar genellikle bu zamanlarda başlatılır.

Kurtarma Kabiliyeti

Kurtarma süresinin ölçülmesi, hazırlığın en somut göstergesidir. Yedekten geri yükleme tatbikatı yapılmadan bu süre bilinemez. Tatbikat, yalnızca dosya değil tüm sistem kurtarma senaryosunu kapsamalıdır. Ayrıca kurtarmanın hangi sırayla yapılacağı belirlenmelidir. Sıralama, iş önceliklerine göre yapılır.

Yedeklerin bütünlüğünün de doğrulanması gerekir. Şifrelenmiş ya da bozulmuş bir yedek, alınmış sayılmaz. Düzenli doğrulama otomatikleştirilebilir. Ayrıca yedeklerin saldırı öncesi bir tarihe ait olduğundan emin olunmalıdır. Saldırgan uzun süre ortamda kaldıysa son yedekler de etkilenmiş olabilir.

Kurtarma sırasında ortamın temizliğinin doğrulanması da kritik önemdedir. Temizlenmemiş bir ortama yapılan geri yükleme, saldırının tekrar etmesine yol açar. Bu nedenle kurtarma ve temizlik paralel yürütülür. Adli analiz bulguları temizliğin kapsamını belirler. Acele edilen kurtarmalar sık tekrar üretir.

Fidye Yazılımı Hizmeti Modeli

Günümüzde fidye yazılımı operasyonları tek bir grup tarafından yürütülmez. Zararlı yazılımı geliştiren, erişim satan ve operasyonu yürüten farklı aktörler bulunur. Bu iş bölümü, teknik yetkinliği sınırlı aktörlerin de büyük operasyonlar yürütmesini mümkün kılar. Sonuçta saldırı sayısı ve çeşitliliği artar. Hedef profili de genişler.

Erişim satan aktörler, kurumlara sızıp bu erişimi pazarlarda satar. Satın alan grup ise operasyonu yürütür. Bu ayrım, ilk erişim ile şifreleme arasında uzun bir süre geçmesine yol açar. Bu süre, savunma için bir fırsat penceresidir. Tespit kabiliyeti bu pencerede belirleyici olur.

Bu model, fidye yazılımı hizmeti olarak adlandırılır. Geliştirici gruplar altyapı ve destek sağlar, ortaklar ise gelir payı karşılığında operasyon yürütür. Bu yapı, sektör benzeri bir organizasyon oluşturmuştur. Mücadele de bu nedenle yalnızca teknik değildir. Uluslararası iş birliği gerektirir.

Savunma açısından bu modelin pratik sonucu, saldırı tekniklerinin standartlaşmasıdır. Aynı araçlar ve aynı yöntemler farklı operasyonlarda tekrar eder. Bu tekrar, tespit kurallarının etkinliğini artırır. Bilinen tekniklere odaklanan bir kural seti geniş kapsama sağlar. Kapsama haritası bu bilgiyle oluşturulur.

Ayrıca kurumun sektörüne yönelen grupların takip edilmesi de değerlidir. Hangi grubun hangi teknikleri kullandığı bilindiğinde, savunma öncelikleri buna göre ayarlanabilir. Bu bilgi tehdit istihbaratı kaynaklarından gelir. İstihbaratın operasyonel kullanımı bu şekilde sağlanır. Ham veri tek başına değer üretmez.

Privia Security olarak fidye yazılımı senaryolarına karşı hazırlığısiber tatbikat çalışmalarıyla sınıyor, tespit ve kurtarma kabiliyetindeki boşlukları raporluyoruz.